There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The CookieInterceptor component in Apache Struts before 2.3.1.1 does not use the parameter-name whitelist,
    which allows remote attackers to execute arbitrary commands via a crafted HTTP Cookie header that triggers
    Java code execution through a static method. (CVE-2012-0392)

遠端主機上執行的 Apache Struts 版本比 2.3.1.1 舊。因此，該架構受到多個弱點影響：

  - 在 2.3.1.1 版之前的 Apache Struts 中，CookieInterceptor 元件不會使用參數名稱允許清單，遠端攻擊者可利用此問題，透過建構的 HTTP Cookie 標頭 (可以靜態方法觸發 Java 程式碼執行)，執行任意命令。(CVE-2012-0392)

  - Apache Struts 2.3.1.1 之前版本的 ParameterInterceptor 元件未禁止存取公用建構函式，因此遠端攻擊者可透過會觸發 Java 物件建立的特製參數來建立或覆寫任意檔案。(CVE-2012-0393)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Apache Struts 版本低于 2.3.18。因此如公告 S2-008 所述受到多个漏洞的影响。

  - 低于 2.2.3.1 的 Apache Struts 中的 ExceptionDelegator 组件在对属性的不匹配数据类型的某些异常处理期间将参数值解释为 OGNL 表达式这允许远程攻击者通过构建的参数执行任意 Java 代码。 (CVE-2012-0391)

  版本低于 2.3.1.1 的 Apache Struts 中，CookieInterceptor 组件不使用参数名称白名单，远程攻击者可利用此问题，通过构建的 HTTP Cookie 标头（可通过静态方法触发 Java 代码执行）执行任意命令。(CVE-2012-0392)

  - 在 2.3.1.1 之前的 Apache Struts 中，ParameterInterceptor 组件未阻止访问公共构造函数，这允许远程攻击者通过特制的可触发创建 Java 对象的参数来创建或覆盖任意文件。(CVE-2012-0393)

  - 在 2.3.1.1 之前的 Apache Struts 中，DebuggingInterceptor 组件在使用开发者模式时，允许远程攻击者通过不明矢量执行任意命令。注意：供应商认为此行为本身不是安全漏洞。(CVE-2012-0394)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Apache Struts 版本低于 2.3.1.1。因此，该架构收到多个漏洞影响：

  版本低于 2.3.1.1 的 Apache Struts 中，CookieInterceptor 组件不使用参数名称白名单，远程攻击者可利用此问题，通过构建的 HTTP Cookie 标头（可通过静态方法触发 Java 代码执行）执行任意命令。(CVE-2012-0392)

  - 在 2.3.1.1 之前的 Apache Struts 中，ParameterInterceptor 组件未阻止访问公共构造函数，这允许远程攻击者通过特制的可触发创建 Java 对象的参数来创建或覆盖任意文件。(CVE-2012-0393)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Apache Struts 版本低於 2.3.18，因此會受到 S2-008 公告中所提及的多個弱點影響。

  - 在 Apache Struts 2.2.3.1 之前的版本中ExceptionDelegator 元件在對內容的不相符資料類型進行特定例外處理時將參數值解譯為 OGNL 運算式其允許遠端攻擊者透過特製參數執行任意 Java 程式碼。 (CVE-2012-0391)

  - 在 2.3.1.1 版之前的 Apache Struts 中，CookieInterceptor 元件不會使用參數名稱允許清單，遠端攻擊者可利用此問題，透過建構的 HTTP Cookie 標頭 (可以靜態方法觸發 Java 程式碼執行)，執行任意命令。(CVE-2012-0392)

  - Apache Struts 2.3.1.1 之前版本的 ParameterInterceptor 元件未禁止存取公用建構函式，因此遠端攻擊者可透過會觸發 Java 物件建立的特製參數來建立或覆寫任意檔案。(CVE-2012-0393)

  - 在使用開發人員模式時，Apache Struts 2.3.1.1 之前版本的 DebuggingInterceptor 元件允許遠端攻擊者透過不明媒介執行任意命令。注意：廠商將此行為定性為本身並非安全性弱點。(CVE-2012-0394)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストで実行されている Apache Struts のバージョンは、2.3.1.1 より前です。したがって、複数の脆弱性による影響を受けます。

  - 2.3.1.1 以前の Apache Struts の CookieInterceptor コンポーネントは、パラメーター名ホワイトリストを使用しません。これにより、リモートの攻撃者は、静的メソッドを介して Java コードの実行をトリガーする細工された HTTP Cookie ヘッダーを介して任意のコマンドを実行できます。(CVE-2012-0392)

  - 2.3.1.1 以前の Apache Struts の ParameterInterceptor コンポーネントは、パブリックコンストラクターへのアクセスを防止していません。これにより、リモートの攻撃者が、Java オブジェクトの作成をトリガーする細工されたパラメーターを介して、任意のファイルを作成または上書きする可能性があります。(CVE-2012-0393)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Apache Struts のバージョンは、2.3.18 より前です。したがって、S2-008アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.2.3.1 より前の Apache Struts の ExceptionDelegator コンポーネントが、プロパティの不一致のデータタイプに対する特定の例外処理を行う際に、パラメーターの値を OGNL 式として解釈します。これにより、リモートの攻撃者が、細工されたパラメーターを通じて任意の Java コードを実行することが可能です。CVE-2012-0391

  - 2.3.1.1 以前の Apache Struts の CookieInterceptor コンポーネントは、パラメーター名ホワイトリストを使用しません。これにより、リモートの攻撃者は、静的メソッドを介して Java コードの実行をトリガーする細工された HTTP Cookie ヘッダーを介して任意のコマンドを実行できます。(CVE-2012-0392)

  - 2.3.1.1 以前の Apache Struts の ParameterInterceptor コンポーネントは、パブリックコンストラクターへのアクセスを防止していません。これにより、リモートの攻撃者が、Java オブジェクトの作成をトリガーする細工されたパラメーターを介して、任意のファイルを作成または上書きする可能性があります。(CVE-2012-0393)

  - 2.3.1.1 より前の Apache Struts の DebuggingInterceptor コンポーネントにより、開発者モードが使用される際に、リモートの攻撃者が詳細不明なベクトルで任意のコマンドを実行する可能性があります。注意: ベンダーは、この動作をセキュリティの脆弱性自体ではないと説明しています。(CVE-2012-0394)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Apache Struts installed on the remote host is prior to 2.3.18. It is, therefore, affected by multiple vulnerabilities as referenced in the S2-008 advisory.

  - The ExceptionDelegator component in Apache Struts before 2.2.3.1 interprets parameter values as OGNL     expressions during certain exception handling for mismatched data types of properties, which allows remote     attackers to execute arbitrary Java code via a crafted parameter. (CVE-2012-0391)

  - The CookieInterceptor component in Apache Struts before 2.3.1.1 does not use the parameter-name whitelist,     which allows remote attackers to execute arbitrary commands via a crafted HTTP Cookie header that triggers     Java code execution through a static method. (CVE-2012-0392)

  - The ParameterInterceptor component in Apache Struts before 2.3.1.1 does not prevent access to public     constructors, which allows remote attackers to create or overwrite arbitrary files via a crafted parameter     that triggers the creation of a Java object. (CVE-2012-0393)

  - The DebuggingInterceptor component in Apache Struts before 2.3.1.1, when developer mode is used, allows     remote attackers to execute arbitrary commands via unspecified vectors. NOTE: the vendor characterizes     this behavior as not a security vulnerability itself. (CVE-2012-0394)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Apache Struts running on the remote host is prior to 2.3.1.1. It, therefore, affected by multiple vulnerabilities:

  - The CookieInterceptor component in Apache Struts before 2.3.1.1 does not use the parameter-name whitelist, which     allows remote attackers to execute arbitrary commands via a crafted HTTP Cookie header that triggers Java code     execution through a static method. (CVE-2012-0392)

  - The ParameterInterceptor component in Apache Struts before 2.3.1.1 does not prevent access to public constructors,     which allows remote attackers to create or overwrite arbitrary files via a crafted parameter that triggers the     creation of a Java object. (CVE-2012-0393)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
433763	SCA: security update for org.apache.struts.xwork:xwork-core, org.apache.struts:struts2-core (GHSA-2ppp-xj34-vvf7)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/19	2026/7/2	high
433763	SCA: security update for org.apache.struts.xwork:xwork-core, org.apache.struts:struts2-core (GHSA-2ppp-xj34-vvf7)	Tenable Cloud Security	SCA Checks	2025/8/19	2026/7/2	high
143125	Apache Struts 2.x < 2.3.1.1 多個弱點	Nessus	Misc.	2020/11/20	2024/9/24	high
279485	Apache Struts 2.0.0 < 2.3.18 多种漏洞 - 远程命令执行和任意文件覆盖Strict DMI 无法正常工作(S2-008)	Nessus	Misc.	2025/12/21	2026/2/20	critical
143125	Apache Struts 2.x < 2.3.1.1 多种漏洞	Nessus	Misc.	2020/11/20	2024/9/24	high
279485	Apache Struts 2.0.0 < 2.3.18 多個弱點 - 遠端命令執行和任意檔案覆寫、Strict DMI 未正確運作 (S2-008)	Nessus	Misc.	2025/12/21	2026/2/20	critical
143125	2.3.1.1 より前の Apache Struts 2.x における複数の脆弱性	Nessus	Misc.	2020/11/20	2024/9/24	high
279485	Apache Struts 2.0.0 < 2.3.18 の複数の脆弱性 - リモートコマンド実行および任意のファイルの上書きにより、Strict DMI が正しく動作しませんS2-008	Nessus	Misc.	2025/12/21	2026/2/20	critical
279485	Apache Struts 2.0.0 < 2.3.18 multiple vulnerabilities - Remote command execution and arbitrary file overwrite, Strict DMI does not work correctly(S2-008)	Nessus	Misc.	2025/12/21	2026/2/20	critical
143125	Apache Struts 2.x < 2.3.1.1 Multiple Vulnerabilities	Nessus	Misc.	2020/11/20	2024/9/24	high

检测

插件搜索

high

high

high

critical

high

critical

high

critical

critical

high